ASP.NET Core中能否通过Sustainsys.Saml2在Startup.cs外动态配置SAML身份提供商选项？

当然可以！Sustainsys.Saml2完全支持在Startup.cs之外动态配置IdentityProvider，完美适配不同客户的个性化配置需求，不需要把所有配置都硬编码在启动阶段。我通常会用下面几种方式来实现：

1. 利用认证事件动态加载IdP配置 #

Sustainsys.Saml2提供了多个可扩展的事件钩子，你可以在处理SAML请求的过程中，根据当前请求的客户标识（比如从请求头、域名、租户ID中获取）动态加载对应的IdP配置。

比如在AcsCommandCreated事件中处理，这个事件会在每次处理SAML断言消费请求时触发：

services.AddAuthentication()
    .AddSaml2(options =>
    {
        // 先配置SP的基础信息
        options.SPOptions.EntityId = new EntityId("https://your-sp-domain.com/saml2");
        
        // 注册事件钩子，动态添加客户专属IdP
        options.Notifications.AcsCommandCreated = async command =>
        {
            // 从请求上下文获取当前客户标识，这里示例从请求头取
            var clientId = command.HttpContext.Request.Headers["X-Client-Id"].FirstOrDefault();
            if (string.IsNullOrEmpty(clientId)) return;

            // 调用自定义服务从数据库/配置中心获取该客户的SAML配置
            var clientSamlConfig = await _clientConfigService.GetSamlConfigAsync(clientId);
            if (clientSamlConfig == null) return;

            // 避免重复添加，先检查是否已存在该IdP
            var existingIdp = options.IdentityProviders
                .FirstOrDefault(idp => idp.EntityId.Id == clientSamlConfig.EntityId);
            
            if (existingIdp == null)
            {
                options.IdentityProviders.Add(new IdentityProvider(
                    new EntityId(clientSamlConfig.EntityId), options.SPOptions)
                {
                    MetadataLocation = clientSamlConfig.MetadataLocation
                });
            }
        };
    });

2. 通过IOptionsMonitor动态更新配置 #

ASP.NET Core的IOptionsMonitor可以让你在应用运行时随时读取和更新配置，你可以利用它来动态修改Saml2的IdentityProvider集合。

先创建一个专门处理IdP配置的服务：

public class DynamicIdpService
{
    private readonly IOptionsMonitor<Saml2Options> _samlOptionsMonitor;
    private readonly object _lock = new object();

    public DynamicIdpService(IOptionsMonitor<Saml2Options> samlOptionsMonitor)
    {
        _samlOptionsMonitor = samlOptionsMonitor;
    }

    public void UpdateOrAddIdp(string clientId, string entityId, string metadataLocation)
    {
        var samlOptions = _samlOptionsMonitor.CurrentValue;
        
        // 线程安全处理，避免多请求同时修改集合
        lock (_lock)
        {
            // 移除旧的配置（如果存在）
            var existingIdp = samlOptions.IdentityProviders
                .FirstOrDefault(idp => idp.EntityId.Id == entityId);
            if (existingIdp != null)
            {
                samlOptions.IdentityProviders.Remove(existingIdp);
            }

            // 添加新的IdP配置
            var newIdp = new IdentityProvider(new EntityId(entityId), samlOptions.SPOptions)
            {
                MetadataLocation = metadataLocation
            };
            samlOptions.IdentityProviders.Add(newIdp);
            
            // 强制刷新元数据（如果需要）
            newIdp.UpdateMetadata();
        }
    }
}

之后你可以在任何地方（比如API接口、后台任务）注入这个服务，调用UpdateOrAddIdp方法来动态更新客户的IdP配置。

3. 关键注意事项 #

• 缓存优化：频繁从数据库读取配置会影响性能，建议把加载后的IdP配置缓存到IMemoryCache或分布式缓存中，减少重复查询。
• 线程安全：IdentityProviders集合不是线程安全的，修改时一定要加锁或者使用线程安全的集合类型，避免并发问题。
• 元数据缓存：Sustainsys.Saml2会自动缓存IdP元数据，如果更新了MetadataLocation，记得调用UpdateMetadata()方法触发元数据重新加载。

内容的提问来源于stack exchange，提问作者Robert Dougan